Naar hoofdinhoud
Joinly by KoppelHet

Entra ID en Active Directory

Groepsgebaseerde licenties: minder klikken, meer overzicht

Iedere nieuwe medewerker handmatig een Microsoft 365-licentie geven? Dat kan slimmer. Met groepsgebaseerde licenties regelt Microsoft de toewijzing op basis van groepslidmaatschap. Maar dan moet natuurlijk wel iedereen in de juiste groep zitten. Hier lees je hoe het werkt en waar je op moet letten.

Een licentie regelen via een groep: zo werkt het

In plaats van iedere nieuwe medewerker apart een licentie te geven, kun je dat koppelen aan groepslidmaatschap. Dat scheelt handwerk, zolang de juiste mensen in de juiste groep terechtkomen.

Zonder groepen wijs je een licentie per gebruiker toe: in het Microsoft 365-beheercentrum, met PowerShell of via een script. Dat heet een directe toewijzing. Bij groepsgebaseerde licenties wijs je de licentie één keer toe aan een groep. Entra ID rekent daarna zelf uit wie er lid is en geeft die mensen de licentie. Dat heet een overgeërfde toewijzing: de gebruiker heeft de licentie omdat hij in de groep zit.

Komt iemand in de groep, dan krijgt hij de licentie. Gaat hij eruit, dan verliest hij hem, tenzij hij dezelfde licentie ook via een andere groep of direct heeft. Je kunt een licentie hangen aan een securitygroep, een mail-enabled securitygroep of een Microsoft 365-groep, en de groep kan uit je eigen Active Directory komen of dynamisch zijn. Hoe die groepen verschillen, lees je in het verschil tussen security groups en Microsoft 365 groups.

Per groep kun je ook service plans uitzetten. Een groep "Kantoor" krijgt dan Microsoft 365 E3 zonder bijvoorbeeld Sway of Viva Engage, terwijl de licentie zelf hetzelfde blijft. Dat geldt voor iedereen die de licentie via die groep krijgt.

Direct of via een groep
Directe toewijzingVia een groep
Wie bepaalt hetEen beheerder, per gebruikerHet lidmaatschap van de groep
Licentie-eisGeen extra licentieEntra ID P1 of hoger voor elke gebruiker die er profijt van heeft
Bij vertrek of overplaatsingIemand moet hem intrekkenGaat mee met het lidmaatschap
Service plans uitzettenPer gebruikerPer groep, voor iedereen tegelijk
Waar het misgaatVergeten intrekkenVerkeerd lidmaatschap en stille fouten

Dit moet geregeld zijn voordat je begint

Het principe is eenvoudig, maar een paar voorwaarden bepalen of de toewijzing ook echt lukt.

  • Entra ID P1 of hoger voor elke gebruiker die een licentie via een groep krijgt. P1 zit ook in Microsoft 365 E3, E5 en Business Premium, dus veel organisaties hebben het al.
  • Genoeg licenties voor alle leden. Je hoeft ze niet per persoon toe te wijzen, maar je moet er wel genoeg hebben. Is de pot leeg, dan krijgen de laatste leden een fout in plaats van een licentie.
  • Een beheerdersrol die licenties mag toewijzen: Groups Administrator, License Administrator of User Administrator.
  • Een gebruikslocatie (usage location) op elke gebruiker. Ontbreekt die, dan neemt groepsgebaseerde licentietoewijzing het land van de tenant. Klopt dat land niet voor een medewerker in het buitenland, dan kan een licentie of een service plan daar niet zijn toegestaan.

Zo zet je het op

  1. Maak per licentiecombinatie één groep, met een naam die zegt wat hij doet: LIC-M365-E3-Kantoor, LIC-M365-F3-Werkvloer. Een licentiegroep die ook voor rechten op een map wordt gebruikt, wordt na een jaar onbeheersbaar.
  2. Open in het Microsoft 365-beheercentrum de groep, of ga in het Entra-beheercentrum naar de groep en kies Licenties. Kies het product en zet onder "Apps en services" uit wat deze groep niet nodig heeft.
  3. Zet de leden erin, of maak er een dynamische groep van op een kenmerk als afdeling of functie. Hoe je die regel schrijft, staat in dynamische groepen op basis van HR-attributen.
  4. Controleer na de verwerking of de groep leden met fouten heeft (zie hieronder). Bij een grote groep kan dat even duren; Microsoft noemt geen vaste tijd, het hangt af van de omvang van de tenant en hoe druk het is.
Een licentie aan een groep hangen met Microsoft Graph PowerShell, zonder Sway en Viva Engage
Connect-MgGraph -Scopes "Group.ReadWrite.All","Directory.Read.All"

$sku   = Get-MgSubscribedSku | Where-Object SkuPartNumber -eq "SPE_E3"
$uit   = $sku.ServicePlans | Where-Object ServicePlanName -in "SWAY","YAMMER_ENTERPRISE"
$groep = Get-MgGroup -Filter "displayName eq 'LIC-M365-E3-Kantoor'"

Set-MgGroupLicense -GroupId $groep.Id `
  -AddLicenses @(@{ SkuId = $sku.SkuId; DisabledPlans = $uit.ServicePlanId }) `
  -RemoveLicenses @()

Als iemand tóch geen licentie krijgt

Automatisch betekent niet foutloos. Gelukkig geven de meldingen meestal aan waar je moet zoeken.

Een licentie die via een groep niet kan worden toegewezen, geeft geen melding in je mailbox. Hij blijft als fout op de gebruiker staan, en die gebruiker mist de licentie. In het beheercentrum zie je dat bij de groep als een waarschuwing; in Microsoft Graph staat het in licenseAssignmentStates van de gebruiker. Dit zijn de fouten die je tegenkomt:

FoutWat er aan de hand isWat je doet
CountViolationEr zijn niet genoeg licenties voor alle leden.Koop licenties bij, of haal mensen uit de groep die hem niet nodig hebben. Kijk eerst naar uitgeschakelde accounts die nog lid zijn.
MutuallyExclusiveViolationEen service plan in deze licentie botst met een plan dat de gebruiker al via een andere licentie heeft.Zet het botsende plan uit in een van de twee toewijzingen, of haal de dubbele licentie weg.
DependencyViolationEen licentie of plan kan niet weg, omdat een andere licentie ervan afhangt. Of een add-on is zonder zijn basislicentie toegewezen.Wijs de basislicentie in dezelfde groep toe, of haal eerst de afhankelijke licentie weg.
ProhibitedInUsageLocationViolationDe licentie of een plan is niet beschikbaar in het land van de gebruiker.Zet de juiste usage location op de gebruiker, of zet het plan uit voor deze groep.
UniquenessViolationTwee gebruikers hebben hetzelfde proxyadres, en Exchange Online kan de mailbox niet aanmaken.Zoek het dubbele adres op en haal het bij een van de twee weg.
OtherIets anders, vaak tijdelijk.Laat de gebruiker opnieuw verwerken (Reprocess). Blijft het, open dan een melding bij Microsoft.
Alle groepen met licentiefouten, en per gebruiker welke fout
Get-MgGroup -Filter "hasMembersWithLicenseErrors eq true" -All |
  Select-Object Id, DisplayName

Get-MgUser -UserId "jan.jansen@bedrijf.nl" -Property LicenseAssignmentStates |
  Select-Object -ExpandProperty LicenseAssignmentStates |
  Where-Object State -eq "Error" |
  Select-Object SkuId, Error, AssignedByGroup

Van directe toewijzing naar groepen, zonder onderbreking

Heeft iemand dezelfde licentie direct en via een groep, dan gebruikt hij er één. Dat maakt de overstap veilig: je zet mensen eerst in de groep, controleert dat de licentie via de groep binnen is, en haalt daarna pas de directe toewijzing weg. Dezelfde volgorde geldt als iemand van de ene licentiegroep naar de andere gaat: eerst toevoegen aan de nieuwe, dan uit de oude. Andersom raakt iemand even zijn mailbox kwijt.

  1. Maak de licentiegroepen en zet de mensen erin die de licentie nu direct hebben.
  2. Wacht tot de verwerking klaar is en controleer per gebruiker dat de licentie ook via de groep binnenkomt (AssignedByGroup is gevuld).
  3. Haal de directe toewijzing weg, in kleine porties, en controleer of er geen fouten ontstaan.
  4. Spreek af dat er geen directe toewijzingen meer bijkomen. Anders heb je over een jaar weer twee systemen naast elkaar.

Groepen verdelen licenties, maar bepalen niet vanzelf de juiste rol

Het echte vraagstuk zit vaak een stap eerder: wie hoort bij welke groep, en wie houdt dat bij wanneer iemand van functie verandert?

Groepsgebaseerde licenties regelen het toewijzen. Ze regelen niet wie er in de groep hoort. Bij een handmatige groep is dat een beheerder die het moet onthouden, en bij een dynamische groep is het een veld als afdeling of functie dat iemand goed moet invullen en bijhouden. Een vertrokken medewerker die nog lid is, houdt zijn licentie. Een nieuwe medewerker met een leeg afdelingsveld krijgt er geen.

Daar komt bij dat een licentiegroep alleen een licentie regelt. Het account zelf, de andere groepen, de gedeelde mailbox en de applicaties die bij dezelfde functie horen, lopen apart. Hoe je dat met elkaar laat meebewegen, lees je in Entra ID-groepen inrichten voor roltoegang.

Joinly

De juiste groep begint bij de juiste functie

Groepsgebaseerde licenties besparen beheerwerk, zolang het groepslidmaatschap actueel blijft. Daar zit vaak de zwakke plek: HR weet dat iemand van team verandert, maar IT moet het nog verwerken.

Joinly koppelt die twee werelden. Op basis van de functie, afdeling of locatie uit HR kan Joinly iemand aan de juiste groepen toevoegen en oude groepslidmaatschappen intrekken. Microsoft verzorgt vervolgens de licentietoewijzing. Liever rechtstreeks licenties toewijzen? Ook dat kan vanuit rollen in Joinly.

Voorwaardelijke rollen in Joinly die de functie van een medewerker volgenMeer over rollen en rechten

Waar je op kunt rekenen

  • Geen vendor lock-inJe identiteiten en je inrichting blijven van jou.
  • Je data eruit wanneer je wiltJe kunt je gegevens op elk moment exporteren.
  • Standaard SLAOnze standaard SLA is opvraagbaar.
  • Begeleiding bij de implementatieOnze specialisten richten het samen met je in.
  • ISO 27001-gecertificeerdInformatiebeveiliging volgens een internationaal erkende norm.

Entra ID en Active Directory

Lees verder

Artikelen en pagina's die op dit onderwerp doorgaan.

Groepsgebaseerde licenties

Veelgestelde vragen

  • Welke licentie heb ik nodig voor groepsgebaseerde licenties?

    Microsoft Entra ID P1 of hoger, voor elke gebruiker die er een licentie mee krijgt. P1 zit ook in Microsoft 365 E3, E5 en Business Premium.

  • Werken geneste groepen met groepsgebaseerde licenties?

    Nee. Alleen de directe leden van de groep waar de licentie aan hangt, krijgen hem. Mensen in een groep die zelf lid is van die groep, krijgen niets.

  • Wat gebeurt er als iemand uit de licentiegroep gaat?

    Dan verliest hij de licentie, tenzij hij dezelfde licentie ook via een andere groep of direct heeft. Gaat iemand naar een andere licentiegroep, zet hem dan eerst in de nieuwe groep en haal hem daarna pas uit de oude.

  • Wat betekent CountViolation?

    Dat er niet genoeg licenties zijn voor alle leden van de groep. De laatste leden krijgen dan een fout in plaats van een licentie. Koop licenties bij, of haal uitgeschakelde accounts en mensen die hem niet nodig hebben uit de groep.

  • Kan ik per groep onderdelen van een licentie uitzetten?

    Ja. Bij het toewijzen aan de groep zet je per service plan aan of uit wat de leden krijgen, bijvoorbeeld E3 zonder Sway. Dat geldt dan voor iedereen die de licentie via die groep krijgt.

Probeer Joinly bovenop je eigen Microsoft-omgeving

Rollen, workflows, externen en een auditlog voor Entra ID en Active Directory. Begin met demodata in de gratis proefomgeving.

Geen creditcard, geen installatie.

Liever eerst een gesprek? Praat met een IAM-specialist